Sophos Switch: obsługa floty, synchronizacji, lokalizacji i stosów

W obszarze My Products > Switches > Switches Sophos Fusion zarządza poszczególnymi przełącznikami, lokalizacjami i stosami. Strona przeglądu pokazuje stan floty, natomiast Task queue — stan poszczególnych zadań konfiguracyjnych. Lokalizacje grupują przełączniki znajdujące się w jednym miejscu i korzystające z części wspólnych ustawień. Stos traktuje fizycznie połączone przełączniki lub przełączniki wymagające identycznej konfiguracji jako jednostkę logiczną.

Ten runbook opisuje bezpieczną codzienną eksploatację. Aktualizacje oprogramowania sprzętowego, wymiany urządzeń, resetowanie i usuwanie z Sophos Fusion wchodzą w zakres odrębnych procesów konserwacyjnych. Takie środki są tutaj wymienione jako punkt transferu tylko wtedy, gdy status blokuje dalszą synchronizację.

Zrozumienie modelu operacyjnego i dziedziczenia

Default site i lokalizacje niestandardowe to alternatywne przypisania; lokalizacja domyślna nie jest poziomem nadrzędnym innych lokalizacji, lecz samodzielną lokalizacją i miejscem docelowym używanym awaryjnie. W każdej lokalizacji możliwe są dwa rodzaje przypisania:

• Default site lub niestandardowe Site
  • bezpośrednio przypisane Switch
  • Stack
    • Switch przypisane do stosu

Dlatego stos leży w jego witrynie nadrzędnej. Przełącznik może należeć bezpośrednio do witryny lub do stosu w witrynie.

Wartość Parent na przełączniku wskazuje witrynę lub stos, z którego urządzenie otrzymało szablon konfiguracji. Stos z kolei pokazuje powiązaną witrynę pod Parent.

Oznacza to, że przy każdej zmianie: najpierw udokumentuj efektywny szablon źródłowy i docelowy, następnie przesuń przełącznik pilotażowy, w pełni zsynchronizuj jego rozkazy i dopiero wtedy przetwarzaj kolejną grupę.

Sophos Fusion pokazuje ustawienia dokonane lokalnie na przełączniku tylko wtedy, gdy zostały zsynchronizowane lub zreplikowane do Fusion. Zmiany CLI dokonane za pomocą Run commands również nie pojawiają się jako konfiguracja w Sophos Fusion. Dlatego widok Fusion bez widocznych problemów nie dowodzi, że lokalnie nie występują odchylenia.

Najpierw zorganizuj flotę

1. Otwórz My Products > Switches > Switches.
2. Dla hierarchii użyj Tree view, dla ogólnego porównania na podstawie numeru seryjnego użyj Flat view.
3. Jeśli wpisów jest więcej niż dziesięć, uwzględnij wszystkie strony; rozmiar strony można ustawić na 10, 25 lub 50.
4. Zbierz co najmniej Name, Serial number, Status, Alerts, Version, Location, Model, VLANs, Tags i mapowanie nadrzędne dla każdego przełącznika, którego to dotyczy.
5. Jeśli wystąpił alarm, kliknij numer pod Alerts. Aby uzyskać ostatni kontakt, otwórz przełącznik i najedź kursorem na czas ostatniego zdarzenia pod System details; Pojawiają się tam ostatnie zdarzenia komunikacyjne.
6. Przed akcją masową sprawdź wybór według numeru seryjnego z listą zmian. Zaznaczona witryna lub stos rozszerza zakres na wszystkie przełączniki wybrane poniżej.

Przeczytaj poprawnie status w przeglądzie

Przegląd może wyświetlać także stany subskrypcji wsparcia:

• Suspended: Zarządzanie flotą zostało zawieszone do czasu przypisania ważnej subskrypcji pomocy technicznej.
• No subscription: Do przełącznika nie przypisano subskrypcji pomocy technicznej.
• Oversubscribed: Zarejestrowano więcej przełączników niż subskrypcji pomocy technicznej.
• Expired subscription: Subskrypcja wygasła.

Zmiany w przełączniku nie są możliwe bez ważnej licencji wsparcia Sophos Switch. Dlatego nie należy omijać blokad licencji i oprogramowania sprzętowego poprzez wielokrotną synchronizację.

Użyj Task queue jako protokołu zadania

Otwórz przełącznik, witrynę lub stos i wybierz Task queue. Włącz Auto refresh, jeśli w trakcie zmiany spodziewane są nowe zamówienia. W tabeli przedstawiono Status, Switch, Configuration source, Entity, Action, Created by i Created at. Jeśli masz więcej niż dziesięć zadań, rozważ wszystkie strony lub linie 10, 25 lub 50.

• Switch to numer seryjny urządzenia docelowego.
• Configuration source pokazuje pochodzenie zadania.
• Entity wskazuje moduł przełącznika, którego dotyczy problem. Kliknij na wpis, aby otworzyć szczegóły zamówienia.
• Action opisuje operację, na przykład Create dla nowej lub Update dla zmienionej konfiguracji.
• Created by i Created at powiązują zmianę z kontem Fusion i czasem.

Status zadania i dozwolone interwencje

Dokumentacja Sophos wymienia created, Pending i Failed jako warunki wyboru dla Skip. created odtwarza jedynie treść tego warunku o nazwie źródłowej i nie dodaje go do udokumentowanej listy statusów zadań. W szczególności created nie może być utożsamiane z Waiting ani z czasem Created at. Retry jest dostępny dla Failed i Skipped.

Skip nie jest naprawą. Pozostawia pożądaną zmianę bez zastosowania i może technicznie oddzielić kolejne zadania. Wcześniej zapisz Entity, Action, źródło, twórcę, czas i odpowiedni przełącznik. Uruchom Retry dopiero po usunięciu przyczyny; w przeciwnym razie będzie to po prostu kolejna nieudana próba.

Synchronizuj w sposób kontrolowany

Obsługuj poszczególne przełączniki

1. Otwórz przełącznik w przeglądzie za pomocą Name.
2. Sprawdź stan magazynowy i zmianę w ramach Basic details State, Parent, Serial no., Model i MAC Address.
3. W System details sprawdź czas ostatniego zdarzenia, alerty, przegląd portów, Connection usage i dla modeli PoE PoE.
4. Otwórz Task queue, posortuj według Created at i zależności i sprawdź widok szczegółowy poprzez Entity.
5. Wybierz Synchronize tylko wtedy, gdy cel, źródło i obszar działania są prawidłowe. W przeglądzie floty, po wybraniu urządzeń docelowych, kliknij ponownie Synchronize, aby wysłać oczekujące ustawienia Fusion.
6. Monitoruj zamówienie poprzez jego udokumentowane wartości statusu do Success. Nie zakładaj sukcesu na podstawie Waiting, Pending lub Syncing.
7. W przypadku Manual synchronization needed najpierw zapisz przyczynę i kolejkę. Reapply all settings ponownie instaluje ustawienia przełącznika i dlatego nie jest nieszkodliwą aktualizacją.
8. Na koniec sprawdź stan floty, kolejkę i rzeczywiste działanie sieci.

Zdecyduj o konfliktach konfiguracyjnych

Konflikt to decyzja kierunkowa, a nie tylko błąd synchronizacji. Wyjaśnij przed zabiegiem:

1. Który poziom powinien być autorytatywny: lokacja, stos, przełącznik czy świadomie lokalna konfiguracja CLI?
2. Co oznacza Configuration source dla podmiotu, którego to dotyczy?
3. Czy zostało to zmienione lokalnie, poprzez Fusion-UI czy poprzez Run commands?
4. Czy Out of sync powstało, ponieważ Fusion wykrył lokalne odchylenie, czy też zadanie Fusion nie powiodło się?
5. Które ustawienia zależne, łącza nadrzędne, sieci VLAN, ścieżki zarządzania lub mechanizmy zabezpieczeń będą miały wpływ?

Przenieś wartości lokalne do Fusion tylko wtedy, gdy zostały sprawdzone i zatwierdzone jako stan docelowy. Ponownie stosuj wartości Fusion tylko wtedy, gdy wiadomo, że konfiguracja elementu nadrzędnego lub przełącznika jest wiążąca. Jeśli pochodzenie jest niejasne, nie wybieraj Skip ani nie uruchamiaj zbiorczo Reapply all settings. Najpierw zapisz zrzuty ekranu lub eksport widocznych wartości, numer seryjny, element nadrzędny, Configuration source, szczegóły zadania i znacznik czasu.

Planuj i obsługuj witryny

Witryna jest przeznaczona dla przełączników znajdujących się w tej samej lokalizacji geograficznej i mających wspólne pewne ustawienia. Stos jest bardziej odpowiedni dla urządzeń, które są fizycznie połączone lub mają całkowicie identyczną konfigurację. Witryny i stosy są tworzone pod My Products > Switches > Switches z Create site/stack; Aby to zrobić, najpierw wybierz odpowiednie przełączniki, a następnie wybierz Site lub Stack.

W przypadku witryny przechowywane są Name, opcjonalnie prawdziwy Location z Map Google i opcjonalnie Description. Czytelna nazwa powinna wskazywać lokalizację i cel operacyjny.

Strona Site management pokazuje Site, Switches, Sync pending i Sync failed. Za pomocą Edit Site możesz sprawdzić nazwę, lokalizację, opis oraz przypisane przełączniki i stosy. Zakładka System Details pokazuje Name, Serial no., Model, State, MAC address, IP address i Firmware version dla każdego przełącznika; wyświetlacz można uporządkować metodą „przeciągnij i upuść”.

Skonfiguruj porty za pośrednictwem witryny

W wielu ustawieniach istnieją dwa modele selekcji:

• Select the same ports on all switches stosuje te same numery portów logicznych do wszystkich przełączników.
• Select individual ports on each switch umożliwia wybór innego portu fizycznego dla każdego urządzenia.

Wspólna lista obejmuje 48 portów miedzianych oraz cztery porty SFP, od 49(F1) do 52(F4), ponieważ lokalizacja może zawierać modele 8-, 24- i 48-portowe. Przełącznik przyjmuje ustawienia tylko dla portów, które faktycznie istnieją. Port 7 dotyczy więc wszystkich modeli, a port 37 tylko modeli 48-portowych. 49(F1) odpowiada 9(F1) w przełączniku 8-portowym, 25(F1) w 24-portowym i 49(F1) w 48-portowym.

Na poziomie lokalizacji dostępne są między innymi Basic details, VLANs, Port settings, Discovery, Networks, Routes, L3 protocols, QoS, SNMP, Security, Task queue i Diagnostics. Site management pokazuje ostatnią zmianę dokonaną w Sophos Fusion; konfiguracja witryny nie jest regularnie aktualizowana, w przeciwieństwie do kopii zapasowej. Dlatego nie jest to punkt przywracania.

Planuj stosy, sprawdzaj topologię i kondycję

Stos należy do witryny nadrzędnej. Ma to sens tylko wtedy, gdy elementy są ze sobą fizycznie połączone lub powinny mieć identyczną konfigurację. Tworząc w witrynie nadrzędnej Create site/stack > Stack, Name, opcjonalnie ustaw prawdziwe Location i Description.

Aby wyświetlić połączenia, podczas tworzenia należy aktywować opcję Turn on LLDP and STP to see switch connections in stack management. Następnie otwórz nazwę stosu w obszarze My Products > Switches > Switches. Stack management pokazuje Stack, Parent, Switches, Sync pending i Sync failed. Pod Edit Stack możesz kontrolować witrynę nadrzędną, nazwę, lokalizację, opis i członków.

Oceń System Details i odporność

Zakładka System Details pokazuje konfigurację portów, połączenia i Overall Stack Resiliency. Całkowita wartość uwzględnia:

• Szybkość połączeń stosu i wykorzystanie interfejsów LAG;
• Topologia połączeń, w tym pętle i osiągalność sieci WAN;
• najniższa wartość odporności elementów stosu.

Wskazanie opiera się na ostatnim znanym statusie i jest aktualizowane co około 90 sekund. Jeśli przełącznik zostanie wyłączony lub nie będzie mógł połączyć się z Fusion, zmiana topologii fizycznej pozostanie niewidoczna do czasu, aż urządzenie ponownie się skomunikuje. Przeciągnij i upuść zmienia tylko wizualizację, a nie okablowanie.

Dla każdego połączenia Fusion oblicza wartość na podstawie szybkości łącza, Rx Rate, Tx Rate i wykorzystania portu:

• Green: poniżej 75 procent maksymalnej pojemności;
• Orange: od 75 do 90 procent;
• Red: powyżej 90 procent.

Najedź kursorem na symbol na linii połączenia, aby zobaczyć Link speed (Gbps), Rx Rate (Kbps) i Tx Rate (Kbps). Red to sygnał przepustowości, a nie automatyczny dowód zerwania łącza. Z analizy wynika, że ​​możliwe zmiany w oddzielnej sieci obejmują LAG, port SFP lub port o większej przepustowości.

Name, Serial no., Model, Resiliency i State są wyświetlane dla każdego członka. Show more uzupełnia MAC address, IP address, Firmware version, Tags, Powered on i Location. Wartość członkostwa uwzględnia połączenie z Fusion i stan dostępności oprogramowania sprzętowego. Dlatego zawsze oceniaj topologię, dane łącza, status elementu i kolejkę razem.

Porty stosu podlegają temu samemu ryzyku w przypadku mieszanych modeli portów 8, 24 i 48, co witryny. Używaj Select the same ports on all switches tylko wtedy, gdy udowodniono, że okablowanie jest jednolite, w przeciwnym razie Select individual ports on each switch.

Bezpiecznie poruszaj się i wykonuj akcje masowe

Przesuń przełącznik lub stos

1. Udokumentuj docelowy element nadrzędny i jego efektywną konfigurację.
2. Przechwytuj wyjątki na poziomie przełącznika, lokalne odchylenia od CLI, żądania otwartej kolejki i łącza nadrzędne zarządzania w obiekcie źródłowym.
3. Zaznacz tylko jeden wyłącznik pilotowy. Dla poszczególnych urządzeń po wybraniu lokalizacji i stosów użyj Move > Select switches, wybierz docelową witrynę lub docelowy stos i kliknij Save. Po wybraniu cały stos można przypisać do nowej witryny za pomocą Move.
4. Należy pamiętać, że Fusion czyści ustawienia poziomu przełącznika i stosuje dziedziczenie docelowe; sprawdź osobno opisany wyjątek Not set.
5. Obserwuj Task queue aż do stanu końcowego i przetestuj ścieżkę zarządzania i danych.
6. Dopiero wtedy przejdź do kolejnej, jasno określonej grupy.

Synchronizuj i uruchamiaj polecenia w trybie zbiorczym

Podczas wybierania lokalizacji, stosu lub wielu przełączników akcja dotyczy wszystkich wybranych urządzeń. Przed drugim kliknięciem Synchronize lub przed Execute zatem:

• Rozszerz wybór i policz numery seryjne;
• Usuń z fali urządzenia offline, łącza nadrzędne i krytyczne lokalizacje;
• Okno zmiany rekordu, pilotaż, kryteria zakończenia i osoby odpowiedzialne;
• za pomocą CLI sprawdź dokładnie jedno polecenie w linii;
• Zwróć uwagę na kolejność: Fusion wykonuje polecenia indywidualnie dla każdego urządzenia w podanej kolejności;
• wziąć pod uwagę, że zmiany CLI nie są odzwierciedlone w Fusion;
• Nie modyfikuj tej samej jednostki równolegle poprzez interfejs użytkownika, CLI lub lokalny interfejs sieciowy po uruchomieniu.

Zweryfikuj od początku do końca

Zmiana jest zakończona dopiero wtedy, gdy poziom kontroli odpowiada rzeczywistej funkcji sieci:

1. Przypisanie: Tree view pokazuje witrynę, stos i przełącznik pod zamierzonym elementem nadrzędnym; Numer seryjny i lokalizacja są prawidłowe.
2. Stan floty: Brak nieoczekiwanych blokad licencji lub oprogramowania sprzętowego Out of sync, Manual synchronization needed.
3. Kolejka: Wszystkie zadania związane ze zmianą zidentyfikowane za pomocą Entity, Action, Created by i Created at; oczekiwane zadania są ustawione na Success. Zadania, które celowo pozostawiono Skipped, są dokumentowane jako odstępstwa.
4. Konfiguracja: Configuration source odpowiada zamierzonemu właścicielowi. Losowo sprawdzaj krytyczne porty, sieci VLAN, łącza nadrzędne, trasy i wartości zabezpieczeń w odpowiednim modelu.
5. Komunikacja: Ostatnie wydarzenie jest aktualne; brak nowego ostrzeżenia; Dostęp do zarządzania zostanie zachowany.
6. Stan stosu: elementy i połączenia LLDP/STP są widoczne, brak niewyjaśnionych zmian topologii, a Overall Stack Resiliency i kolory łączy są wiarygodne. Po fazach offline poczekaj przynajmniej na kolejny cykl komunikacji.
7. Ścieżka danych: Klient testowy otrzymuje oczekiwaną konfigurację IP na porcie dostępu, którego dotyczy problem, i dociera do DNS, bramy oraz współdzielonych miejsc docelowych wewnętrznych i zewnętrznych. Przetestuj oddzielnie łącza nadrzędne i ścieżki redundancji.
8. Monitorowanie: Sprawdź ponownie kolejkę i alerty w uzgodnionym oknie kontrolnym, zanim rozpocznie się kolejna fala.

Ogranicz błędy w szczególności

Waiting lub Pending pozostaje bez zmian

• Sprawdź numer seryjny, czas ostatniego zdarzenia i dostępność przełącznika.
• W Task queue otwórz najstarsze nieudane zadanie i jego Entity.
• Uwzględnij poprzednie zadania Failed, Skipped lub Suspended.
• Nie twórz wielu identycznych zmian. Najpierw napraw komunikację lub zależność, a następnie zsynchronizuj konkretnie lub użyj Retry.

Out of sync

• Configuration source, porównaj zmianę nadrzędną i ostatnią zmianę lokalną lub CLI.
• Należy pamiętać, że w Fusion może brakować zmian lokalnych i CLI.
• Określ docelowy stan techniczny, zanim jedna ze stron wygra.
• Zabezpiecz dowody; jeśli wpływ jest niejasny, nie używaj zbiorczo Reapply all settings.

Manual synchronization needed lub błąd

• Otwórz nieudaną linię kolejki za pomocą Entity i zarejestruj dokładny błąd, godzinę, twórcę i numer seryjny.
• Sprawdź status licencji, blokadę oprogramowania, ostatnią komunikację i poprzednie zadania.
• Napraw przyczynę i powtórz tylko zadanie, którego dotyczy problem, za pomocą Retry. Skip tylko z udokumentowaną decyzją o możliwości pominięcia zmiany.
• Nie używaj Reapply all settings, dopóki nie zostanie włączona pełna ponowna aplikacja i zabezpieczona ścieżka zarządzania.

Zawieszony

• Jeśli w przeglądzie floty znajduje się Suspended, wyjaśnij status subskrypcji, przydział licencji lub pojemność.
• Jeśli jest w formacie Task queue lub jest specyficzny dla urządzenia State, blokadą jest nieaktualne oprogramowanie sprzętowe. Przekazano do osobnego procesu aktualizacji oprogramowania sprzętowego i odzyskiwania; nie improwizuj tutaj.

Brak topologii stosu lub wydaje się ona nieaktualna

• Sprawdź, czy na stosie aktywowano Turn on LLDP and STP to see switch connections in stack management.
• State, sprawdź czas ostatniego wydarzenia i dostępność Fusion każdego członka.
• Jeżeli wyłącznik jest wyłączony lub odłączony, można spodziewać się ostatniego znanego stanu; Po ponownym podłączeniu poczekaj przynajmniej na aktualizację w przybliżeniu 90-drugim cyklu.
• Sprawdź osobno wykrywanie LLDP/STP, okablowanie fizyczne i stany portów. Przeciąganie i upuszczanie w widoku nie naprawi połączenia.

Sync pending lub Sync failed na miejscu lub zwiększa stos

• Nie synchronizuj ponownie całej grupy.
• Izoluj dotkniętych członków, używając numeru seryjnego i kolejki.
• Oddziel typową zmianę nadrzędną od problemu z komunikacją lub modelem specyficznego dla urządzenia.
• W przypadku modeli mieszanych sprawdź, czy wspólny wybór portów dotyczy nieistniejących portów lub portów o innych numerach.

Po przeniesieniu konfiguracja jest nieoczekiwana

• Sprawdź docelowy element nadrzędny, usunięte ustawienia poziomu przełącznika i wyjątek Not set w porównaniu z wcześniejszą dokumentacją.
• Nie przenoś kolejnej grupy urządzeń.
• Utwórz kopię zapasową ścieżki zarządzania i danych, a następnie przywróć autorytatywny stan docelowy w kontrolowany sposób na poziomie elementu nadrzędnego lub przełącznika i w pełni zweryfikuj kolejkę.

Przekazania poza tym elementem Runbook

• Firmware too old lub związane z oprogramowaniem sprzętowym Suspended: przekazywane do oddzielnego procesu aktualizacji i odzyskiwania oprogramowania sprzętowego z oknem konserwacji, zgodnością i sprawdzaniem wersji awaryjnych.
• Usunięcie przełącznika z Sophos Fusion, usunięcie lokalizacji lub stosu, wymiana urządzenia lub przywrócenie ustawień fabrycznych: podlega kontrolowanemu procesowi offboardingu/wymiany. Interwencje te zmieniają administrację, członkostwo i, jeśli to konieczne, ustawienia lokalne.
• Jeśli oddział lub stos musi zostać rozwiązany organizacyjnie, przed przekazaniem zapisz przypisanie docelowe i status opcji Clear the Sophos Fusion configuration ….
• Po usunięciu witryny jej członkowie są zawsze przenoszeni do Default site.
• Po usunięciu stosu jego elementy są zawsze przenoszone do witryny nadrzędnej.
• Jeśli włączone jest Clear the Sophos Fusion configuration …, Fusion czyści ustawienia przełącznika lokalnego. Przełączniki dziedziczą następnie konfigurację odpowiedniej lokalizacji docelowej.
• Opcja Wyczyść oznacza wyczyszczenie ustawień przełącznika lokalnego, a nie „ustawienia lokalne Fusion”.
• Bez włączonej opcji Wyczyść należy w konkretnej zmianie sprawdzić, która konfiguracja pozostaje skuteczna. Nie należy tego wnioskować na podstawie samego przeprowadzki do miejsca docelowego.